對個人信息保護政策和數據處理規則的新要求

編者按：

11月14日，國家互聯網信息辦公室公布《網絡數據安全管理條例（征求意見稿）》（以下簡稱“數安條例”）【全文見：國家互聯網信息辦公室關于《網絡數據安全管理條例（征求意見稿）》公開征求意見的通知】。鑒于該條例的重要性，公號君新開這個系列，記錄一些想法和建議。

借著《信息安全技術互聯網平臺及產品服務隱私協議要求》立項完畢開始編制，第一篇文章就關注數安條例對個人信息保護規則和隱私政策提出的新要求。

數安條例中關于個人信息保護政策、數據處理規則的主要規定，列舉如下：

個人信息相關

第二十條數據處理者處理個人信息，應當制定個人信息處理規則并嚴格遵守。個人信息處理規則應當集中公開展示、易于訪問并置于醒目位置，內容明確具體、簡明通俗，系統全面地向個人說明個人信息處理情況。

個人信息處理規則應當包括但不限于以下內容：

（一）依據產品或者服務的功能明確所需的個人信息，以清單形式列明每項功能處理個人信息的目的、用途、方式、種類、頻次或者時機、保存地點等，以及拒絕處理個人信息對個人的影響；

（二）個人信息存儲期限或者個人信息存儲期限的確定方法、到期后的處理方式；

（三）個人查閱、復制、更正、刪除、限制處理、轉移個人信息，以及注銷賬號、撤回處理個人信息同意的途徑和方法；

（四）以集中展示等便利用戶訪問的方式說明產品服務中嵌入的所有收集個人信息的第三方代碼、插件的名稱，以及每個第三方代碼、插件收集個人信息的目的、方式、種類、頻次或者時機及其個人信息處理規則；

（五）向第三方提供個人信息情形及其目的、方式、種類，數據接收方相關信息等；

（六）個人信息安全風險及保護措施；

（七）個人信息安全問題的投訴、舉報渠道及解決途徑，個人信息保護負責人聯系方式。

數據相關

第四十三條互聯網平臺運營者應當建立與數據相關的平臺規則、隱私政策和算法策略披露制度，及時披露制定程序、裁決程序，保障平臺規則、隱私政策、算法公平公正。

平臺規則、隱私政策制定或者對用戶權益有重大影響的修訂，互聯網平臺運營者應當在其官方網站、個人信息保護相關行業協會互聯網平臺面向社會公開征求意見，征求意見時長不得少于三十個工作日，確保用戶能夠便捷充分表達意見。互聯網平臺運營者應當充分采納公眾意見，修改完善平臺規則、隱私政策，并以易于用戶訪問的方式公布意見采納情況，說明未采納的理由，接受社會監督。

日活用戶超過一億的大型互聯網平臺運營者平臺規則、隱私政策制定或者對用戶權益有重大影響的修訂的，應當經國家網信部門認定的第三方機構評估，并報省級及以上網信部門和電信主管部門同意。

首先，第二十條和第四十三條用了不同的術語。前者用了個人信息處理規則，后者用了隱私政策。而且隱私政策這個詞僅在第四十三條出現。在數安條例中，個人信息處理規則和隱私政策應當是一個意思，因此，第一個建議是兩者術語統一。

其次，第二十條所規定的事項，大家應當不會陌生，監管部門在很多場合中都提出類似的要求。也是《個人信息保護法》中要求的細化。

第四十三條的要求較新。此前在標準立項匯報時有過初步探討【《互聯網平臺及產品服務隱私協議要求》標準制定立項匯報】此次第四十三條提出了剛性的要求。總的來說，四十三條有以下特點：

1、第四十三條針對的是數據，并不只是個人信息，而且還有算法策略。這就和此前國家網信部門提出的【我國信息服務算法推薦管理 | 與個人信息保護的耦合和差異】，以及數安條例中關于重要數據處理規則的備案要求（具體見第二十九條）聯系起來。

2、與數據相關的平臺規則、隱私政策和算法策略，需要建立披露制度。第四十三條還對披露的內容提出了具體的要去。換言之，組織應當將平臺規則、隱私政策和算法策略的制定“形式化”，變成一項具有正式流程的工作內容，而不能只是偶發性、事后性地開展此類工作。

3、對用戶權益有重大影響的規則修訂、算法策略改變，需要向社會公開征求意見，并說明對公眾意見采納和未采納的情況。這是個較新的要求。具體分解，一是要判斷影響是否重大，此方面，個人信息保護法規定的個人信息保護影響評估可以排上用場。具體的支撐標準是【《個人信息安全影響評估指南》（GB/T 39335-2020）正式發布】。

二是對公眾會產生重大影響的，應當將用戶納入決策程序之中，這樣的要求也是39335這個標準，以及ISO相關標準中規定的，影響評估在必要時可以將公眾納入咨詢流程之中。但不同的是，數安條例把這個要求固定化、突出化了，變成了法定義務。如果設想下將來的執行的時候，對何為重大影響可能會存在很多爭議。首先，個人信息保護法第五十五條列明的幾項（處理敏感個人信息、利用個人信息進行自動化決策、委托處理個人信息、向其他個人信息處理者提供個人信息、公開個人信息、向境外提供個人信息）是否就是重大影響？或者說是這幾項進行影響評估后得出“重大”的結論后，才需要公開征求意見？等等問題。

三是對日活用戶超過一億的大型互聯網平臺運營者有針對性要求。先看定義，大型互聯網平臺“是指用戶超過五千萬、處理大量個人信息和重要數據、具有強大社會動員能力和市場支配地位的互聯網平臺運營者”。這幾個條件應當理解成需要同時具備。但總的來說，“強大社會動員能力”中的強大，是個較為模糊的概念，需要進一步確定。此外，針對性要求指向的是大型互聯網平臺中的一個子集——日活用戶超過一億。

對于這樣的大型互聯網平臺，如果有對公眾重大影響的規則和策略改動，不僅要公開征求意見，還要第三方評估，并獲得行政批準，也就是說創設了個行政許可。這個要求背后的理解，公號君分析應當是對于這樣特殊的互聯網平臺，規則改變和策略改動相當于是公共部門“立法”。公共部門立法需要公開征求意見，但是具有“私權力”的超大平臺也需要。

以上是第一篇文章的內容，供大家參考。

數據保護官（DPO）社群主要成員是個人信息保護和數據安全一線工作者。他們主要來自于國內頭部的互聯網公司、安全公司、律所、會計師事務所、高校、研究機構等。在從事本職工作的同時，DPO社群成員還放眼全球思考數據安全和隱私保護的最新動態、進展、趨勢。2018年5月，DPO社群舉行了第一次線下沙龍。沙龍每月一期，集中討論不同的議題。目前DPO社群已超過300人。關于DPO社群和沙龍更多的情況如下：

域外數據安全和個人信息保護領域的權威文件，DPO社群的全文翻譯：